文章目录
- 前言
- 一、Metasploit是什么?
- 二、实验环境配置
- 三、攻击过程
- 总结
前言
简介:
Apache tomcat是世界上使用最广泛的java web应用服务器之一,绝大多数人都会使用tomcat的默认配置。默认配置中会有一个向外网开放的web应用管理器,管理员可以利用它在服务器中启动、停止、添加和删除应用。
在本节中,将使用metasploit某个模块对tomcat管理界面实施密码暴力破解攻击以获得一个管理器的访问权限。
注意!以下所做的所有操作均在虚拟机上实现,在练习时切记保证实验环境的安全和合法合规化,守护网络安全,从你我做起。
一、Metasploit是什么?
Metasploit是一款开源的安全漏洞检测工具,可以帮助安全和IT专业人士识别安全性问题,验证漏洞的缓解措施,并管理专家驱动的安全性进行评估,提供真正的安全风险情报。这些功能包括智能开发,代码审计,Web应用程序扫描,社会工程。团队合作,在Metasploit和综合报告提出了他们的发现。
二、实验环境配置
1. 启动数据库服务并初始化
因为Msfconsole使用的是postgresql数据库来存储日志和结果
启动postgreSQL
命令:service postgresql start
创建并初始化数据库
命令: msfdb init
2. 启动msf
命令:msfconsole
3. 靶场环境
在操作时,记住靶场ip,切勿弄混淆,本实验此靶场的ip为192.168.22.130
三、攻击过程
1. 打开靶场中的Tomcat Server服务
在kali linux的firefox(火狐)浏览器中输入http://192.168.22.130:8080/manager/html
靶机中有一个Tomcat Server服务在运行,端口是8080,通过浏览器进行访问。
2. 在Kali linux中启动msfconsole工具并加载爆破模块载荷
命令:use auxiliary/scanner/http/tomcat_mgr_login
3.在加载了攻击载荷之后,我们需要了解这个攻击载荷需要设置的各项参数和设置方法,以便于我们进行正常攻击,查看载荷参数
命令:show options
4.设置目标主机ip
命令:set rhosts 192.168.22.130
5. 为了使运行速度快一点(不能太快!),可以用这个命令设置线程
命令:set threads 5
6. 为了不使服务器因为太大量请求而奔溃,破解速度降低一点:
命令:set bruteforce_speed 3
7.了解各项参数并设置好之后,就可以执行攻击命令
命令:run
执行run操作进行攻击之后,系统自动进行密码爆破攻击,此爆破过程,和暴力破解数据库、web网站有异曲同工之妙,同样是进行账号密码的比对,一一对比,层层筛选,直到找出账号密码,如果是现实中进行爆破,是没有这么简单的,但这个只是实验,利用系统里自带的账号字典和密码字典,很快就完成了有效账号密码的挖掘
得出爆破结果,挖掘到一个用户为root,对应的密码是owaspbwa
9. 得到账号密码之后,就可以使用该用户名和密码登录tomcat服务管理页面
至此,本文爆破实验结束
实验步骤总结:
默认情况下,tomcat服务会开启在8080端口,管理界面目录在/manager/html
该应用使用基础http认证。刚刚使用的tomcat_mgr_login模块有一些参数需要讲解一下:
BLANK_PASSWORDS: 为每一个账号提供一个空密码测试
PASSWORD: 设置这个可以一密码多用户的方式进行测试
PASS_FILE: 输入你想使用的密码字典路径 Proxies: 为了避免被检测到源地址,可以使用这个代理功能
RHOSTS:填写要测试的主机(可以是多个,以空格分隔。也可以是一个清单文件)
RPORT:设置目标tomcat运行端口 STOP_ON_SUCCESS:当破解成功后停止攻击
TARGERURI:管理界面的目录路径
USERNAME:定义要测试的用户名(可以使单个,也可以是一个字典文件)
USER_PASS_FILE:使用 用户名/密码 格式的字典文件
USER_AS_PASS:尝试使用测试中的用户名作为密码 一旦成功进入tomcat管理界面,就能看到并操作安装在上面的应用。 此外可以上传自己的应用(包括能在服务器执行命令的应用)
总结
在我们日常实验的过程中,出错的问题点很多,有时候几个问题接连而来,一个ip,一个字母,一个数字,一个标点符号,可能就会导致整个实验的走向不对,甚至停滞不前,这些看似问题不是很大,但排查起来十分磨炼人的心态,因此在操作时,要尽量避免小问题的产生。
利用一个工具,加载一个简单的攻击载荷,设置一些简单的参数,执行一个run操作,就能获取到账号密码,如果这些操作发生在现实中,对一个防护措施较差的企业进行攻击,那么其损失的经济财产不可估量。有人说,一个简单的爆破,就能随便得到人家企业的重要信息?我是这么觉得的,只要一个用户字典和密码字典足够强大,这世界上就没有破不了的账号密码。
国亦有法,人亦守法,维护国家安全,共筑国家网络安全防线,是我们每个人都该做到的事情。